使用LD_PRELOAD拦截共享函数库的函数调用

最新推荐文章于 2025-01-10 10:51:59 发布

coding 迪斯尼

最新推荐文章于 2025-01-10 10:51:59 发布

阅读量619

点赞数

CC 4.0 BY-SA版权

分类专栏：内核级病毒与木马攻防战

本文链接：https://blog.youkuaiyun.com/tyler_download/article/details/117165336

内核级病毒与木马攻防战专栏收录该内容

18 篇文章 ¥9.90 ¥99.00

订阅专栏

在Linux系统中，通过设置LD_PRELOAD环境变量可以预先加载自定义的动态链接库，从而在程序运行时劫持特定函数调用。本文以一个可能导致堆溢出的程序为例，展示了如何创建一个自定义的库，包含检测内存分配和拷贝的函数。通过这个库，当程序尝试执行可能导致溢出的操作时，自定义函数会先执行并检查，防止了缓冲区溢出的发生。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在linux系统上，程序运行时有一个特征。在程序加载前，系统会预先加载一系列库函数。如果程序运行后，它再使用动态链接库时，如果它调用链接库里面的函数名与预先加载的函数库中的某个函数名相同，那么系统会自动调用预先加载函数库中的函数。

这种机制给与我们一个劫持程序运行的入口。例如函数从某个动态加载的so链接库里调用名为function_name的函数，那么我们可以先设置一个链接库,在里面也导出一个同名函数function_name,然后使用修改系统的环境变量LD_PRELOAD，让程序在运行前先加载我们的链接库，等函数运行后它会加载相应动态链接库，并调用里面的函数function_name,结果程序执行时运行的就会变成我们自己预先设置的函数function_name，我们看一个例子：

int main(int argc, char* argv[]) {
    char* buf;
    unsigned long len;
    if (argc != 3) {
        return 1;
    }
    len = stroul(argv[1], NULL, 0);
    printf("Allocating %lu bytes\n", len);
    buf = malloc(len)
    if (buf && len > 0) {
        memset(buf, 0, len);
        strcpy(buf, argv[2]);
        printf("%s\n", buf);
        free(buf);
    }
 
     return 0
}

代码的逻辑很简单，程序运行时需要三个参数，第二

了解本专栏